Google DeepMind：AIエージェントがRSA 1024ビットの2つの脆弱化手法を発見、RSA 2048への脅威はなし

Google DeepMindは2026年11月7日、研究者の監督のもとでAIエージェントがRSA 1024ビットに対する既知の攻撃を改善したとする、暗号解読に関する2本のワーキングペーパーを発表した。この規格はすでに時代遅れであり、両論文とも2048ビット以上で運用されているシステムには脅威とならないことを明記している。著者陣には、この分野で広く知られるNadia Heninger（UC San DiegoおよびInria）やEmmanuel Thomé（Inria）が含まれている。

第1の成果：パディングが機能しなくなるとき

RSA署名では、署名を行う前に固定フォーマットのパディングをメッセージに追加することが多い。第1の論文は、攻撃者が一定期間にわたり任意のデータに署名させることができ、その後に単独で新たな署名を生成しなければならないケースを検証している。結論として、PKCS#1 v1.5形式では、攻撃者がブロックの半分以上（または1024ビットで64バイトのダイジェスト）を制御できる場合、このパディングによる難易度の増加は一切生じなくなる。32バイトのダイジェストでは問題の難易度は依然として高いものの、著者らは理論上のコストを引き下げている。DeepMindはこの改善幅を1024ビットで約1600倍と換算しているが、これは推定値であり、実際に実行された計算ではない。

実証部分は再現実験である。過去の研究ですでに解決されていた1024ビットのインスタンスに対し、同一のアルゴリズムとパラメータを用いて計算したところ、391 CPUコア年を要し、オリジナルの3.5分の1に短縮された。論文によると、協調する2つのAIエージェントが隔離された環境で、実システムには一切触れることなく、4日未満でこの計算の設計、実行、デバッグを完了したという。

第2の成果：多数の鍵を同時に素因数分解する

RSA鍵は標準的なサイズを持つ。同じサイズの多数の鍵を狙う攻撃者は、作業の一部を共有できる。第2の論文は「fan factories」を提案している。素因数分解約1回分に相当する事前計算を行った後、追加の1024ビット鍵1つあたりのコストは従来の素因数分解の約58分の1となり、1993年以降に知られている最良の類似手法と比較して30分の1に抑えられる。これはこの種の分析における一般的な仮定に基づく主項での推定値である。代数的恒等式はLean 4で検証されているが、実際の実装は行われていない。事前計算を行わない場合、報告されている改善幅はわずかなものにとどまる。